PHP2Shell attacca i firewall di Palo Alto ma fallisce contro WordPress

"Non è necessaria alcuna configurazione speciale per essere interessati da questo problema. È stato osservato uno sfruttamento attivo mirato all’interfaccia di gestione di Palo Alto Networks esposta a Internet", osserva la società nel suo parere. Palo Alto Networks afferma che per impostazione predefinita l’interfaccia di gestione non è esposta a Internet e invita i clienti a limitarne immediatamente l’accesso e ad applicare le correzioni disponibili

. "Solo una piccola frazione di una percentuale (circa lo 0,02%) della nostra base installata globale ha interfacce di gestione rivolte a Internet configurate ed è stata influenzata. Ognuno di questi clienti è stato contattato individualmente dai nostri team. Continueremo a indagare e forniremo tutti gli aggiornamenti necessari non appena saranno disponibili", osserva Palo Alto Networks

. 22,6 milioni di istanze PHP esposte Secondo la società, al 29 ottobre, la sua telemetria ha identificato oltre 22,6 milioni di istanze PHP esposte che sono potenzialmente vulnerabili ai bug PHP2Shell. Ciò non sorprende, dato che PHP è ampiamente utilizzato su server e sistemi di gestione dei contenuti, tra cui WordPress, Drupal, Joomla e molti altri

. Lo sfruttamento di massa di PHP2Shell ha preso di mira anche quelli, ma è rimasto in gran parte infruttuoso, almeno quando si tratta di WordPress, afferma la società di sicurezza web Defiant. Al 28 ottobre, non era a conoscenza di alcun sito WordPress compromesso tramite lo sfruttamento di PHP2Shell, sebbene abbia registrato oltre 77.000 richieste correlate da oltre 2.000 indirizzi IP

. Tuttavia, Defiant sottolinea che i test hanno rivelato che gli exploit spesso devono essere adattati per funzionare su server mirati, influenzati da ASLR, build PHP, estensioni in esecuzione, limiti di memoria e gestione delle richieste del server. "Gli aggressori stanno ancora cambiando i loro strumenti. Un attacco riuscito potrebbe consentire loro di accedere ai file, al database e alle password del tuo sito, quindi l’aggiornamento di PHP rimane essenziale", ha avvertito Defiant

Una manciata di IP Nonostante gli ampi tentativi di sfruttamento di PHP2Shell, il successo è stato attribuito a pochissimi attori di minacce. Secondo Cato Networks, circa il 96% degli attacchi che ha bloccato ha preso di mira CVE-2026-109618 e il 41% di essi ha tentato l’esecuzione di codice remoto (RCE), mentre i restanti sono stati tentativi di scansione o PoC non validi.

I tentativi hanno avuto origine da una manciata di IP negli Stati Uniti, nei Paesi Bassi e in Germania, ripetendo richieste in stile proof-of-concept (PoC)

. La maggior parte di loro si è concentrata sull’esecuzione dei comandi, seguita da tentativi di deserializzazione. Secondo Cato, le organizzazioni sanitarie sono state le più prese di mira, seguite da tecnologia e servizi di sicurezza, servizi professionali, automobilistico, istruzione e senza scopo di lucro e produzione, costruzione e vendita al dettaglio

Gli attacchi, tuttavia, non sono stati mirati, ma sono apparsi opportunistici, poiché la stessa fonte è stata vista inviare richieste alle organizzazioni nei settori sanitario, tecnologico e software nello stesso giorno. WatchTowr afferma di aver osservato con successo lo sfruttamento di PHP2Shell da un singolo indirizzo IP in Germania, nonostante il grande volume di tentativi e la varietà di payload

«In ogni caso, esegue un semplice comando» curl «per dimostrare che lo sfruttamento ha avuto successo e si ferma lì, senza ulteriori attività post-sfruttamento», ha affermato Jake Knott, responsabile dell’intelligence sulle minacce di WatchTowr.

"Nuove tecniche, carichi utili inventivi e migliori exploit specifici per appliance vengono lanciati man mano che si lavora su exploit più affidabili, ed è probabile che vedremo solo segnalazioni pubbliche di sfruttamento di successo altamente mirato di specifici edge appliance mantenere

in crescita ", ha aggiunto Knott. Correlati: Nuova vulnerabilità di WordPress nel mirino degli aggressori Correlati: Vulnerabilità principale di Drupal Commerce sfruttata contro i negozi online Correlati: Vulnerabilità di Max-Severity GitLab sfruttata contro Alpine Linux Correlati: Adobe, Veeam, Juniper Networks Patch Critical Vulnerabilities